İş Hukukunda Kişisel Verilerin Korunması ve Sınırları

İş İlişkisinde Kişisel Verilerin İşlenme Esasları

İşverenin çalışanına ait kişisel verileri kullanma serbestisi sınırsız değildir. 6098 sayılı Türk Borçlar Kanunu m. 419 uyarınca işveren, işçinin kişisel verilerini sadece çalışanın yapacağı işe uygunluğuyla doğrudan bağlantılı olduğu veya hizmet akdinin ifası bakımından zorunluluk taşıdığı ölçüde işleyebilir. İşverenin işin yürütülmesi ile işyerindeki düzenin teminine yönelik genel kurallar koyma ve talimat verme yetkisi bulunsa da 6098 sayılı Kanun m. 399 gereğince işçilerin bu talimatlara uyma borcu dürüstlük kuralı çerçevesiyle sınırlıdır. 6698 sayılı Kişisel Verilerin Korunması Kanunu m. 5/1 uyarınca kişisel verilerin işlenmesinde kural olarak ilgilinin açık rızası aranmaktadır.

4857 sayılı İş Kanunu m. 75 uyarınca işveren, istihdam ettiği her çalışan adına müstakil bir özlük dosyası oluşturmakla yükümlüdür. İşveren bu dosyada işçinin kimlik belgelerinin yanında kanunen tutulması gereken her çeşit kayıt ve evrakı muhafaza etmek ve denetim anında yetkili mercilere sunmak zorundadır. Kanunun 75. maddesinin son fıkrası kapsamında işveren, çalışan hakkında edindiği bilgileri hukuka ve dürüstlük kuralına uygun kullanmak ve açıklanmasında çalışanın korunmaya değer haklı menfaati olan hususları gizli tutmakla yükümlüdür.

Açık Rıza Aranmayan Kanuni Haller

6698 sayılı Kanun m. 5/2 kişisel verilerin açık rıza bulunmaksızın işlenebileceği durumları hükme bağlamıştır. Kanunlarda açık hüküm bulunması veya rızasını beyan edemeyecek durumda olan ya da beyanına geçerlilik tanınmayan bireyin kendisinin yahut başkasının hayatı ve beden bütünlüğünü korumak için veri işlemenin zorunlu olması bu istisnalardandır. Bunun yanında, bir akdin kurulması ya da yerine getirilmesiyle doğrudan temas halinde bulunması şartıyla taraflara ait verilerin işlenmesinin gerekmesi, veri sorumlusunun kanuni borçlarını yerine getirebilmesi, bilginin ilgili kimse tarafından alenileştirilmiş olması, bir hakkın tesisi, savunulması veya kullanılması için işlemenin mecburi tutulması ve personelin temel haklarına zarar vermemek kaydıyla meşru menfaatlerin zorunlu kılması halinde rıza aranmaz.

İşverenin vergi ödemeleri ve sosyal güvenlik bildirimlerini yapması, maaşların yatırılması amacıyla personelin hesap ve banka verilerini ilgili finans kuruluşuna aktarması veya tescil işlemleri için sigorta sicil numarasının yetkili idareye bildirilmesi, kanuni yükümlülük ve sözleşmenin ifası kapsamında rızasız gerçekleştirilebilir. Benzer şekilde resmi işyeri denetimlerinde genel nitelikli çalışan verileri kamu görevlilerine rıza aranmadan verilebilir. Ancak sendikal aidiyet, sağlık verileri, biyometrik ya da genetik bilgiler, siyasi ve felsefi eğilimler, dini inanç veya adli sicil kayıtları gibi özel nitelikli kişisel verilerin teftiş heyetleriyle paylaşılması için ilgililerin açık rızasının alınması gerekmektedir.

İşe Alım ve Veri Saklama Süreçlerinde Sınırlar

İş başvurusu ve mülakat aşamalarında kural olarak adaya eski işyerinde aldığı maaş, alkol ve tütün kullanımı, medeni durum ve çocuk sahibi olma düşüncesi ile ceza geçmişi sorulamaz. Buna karşın yerine getirilecek görevin ve çalışma mahallinin somut nitelikleri kesin bir gereklilik doğuruyorsa ilgili pozisyona özgü sorular sorulabilir. Sürücü kadrosuna alınacak adaya trafik ihlallerinin sorulması veya para idaresinden sorumlu muhasebe pozisyonu için malvarlığı durumunun araştırılması bu kapsamda değerlendirilir.

Yasal saklama sürelerinin haricinde işverenin personel verilerini süresiz biçimde arşivleme hakkı yoktur. Bu sebeple olumsuz sonuçlanan başvurularda adaylara ait özgeçmişlerin ileride değerlendirileceği gerekçesiyle saklanmayarak yok edilmesi ya da anonim hale getirilmesi, açık onayları temin edilmedikçe başka kişi ve kurumlara iletilmemesi zorunludur. İş akdi sonlanan personele ait verilerin de yasal dava zamanaşımı sürelerinin veya kanunlarda gösterilen saklama müddetlerinin hitamında silinmesi veya kimliği belirlenemez hale getirilmesi şarttır.

Aydınlatma ve Verilerin Yurt Dışına Aktarımı

İşveren, istihdam ettiği işçilere ve adaylara verilerin temin gayesini, nerede tutulduğunu, kimlerin bu kayıtlara erişebileceğini ve hangi mercilere verileceğini açıklamakla yükümlüdür. İşçinin talebi durumunda kullanım biçimleri açıklanmalı, gerçeği yansıtmayan veya eksik kayıtlar düzeltilmelidir. Veri güvenliği konusunda dışarıdan hizmet alınması ya da üçüncü bir kişinin görevlendirilmesi, meydana gelebilecek ihlallerde işverenin kanuni sorumluluğunu ortadan kaldırmaz. Birden fazla şirketin bulunduğu holding veya şirketler topluluğu yapılarında, veri işleme amacını tayin eden ve sisteme yön veren her bir tüzel kişilik müstakil olarak veri sorumlusu kabul edilir ve yaptırımlara bizzat muhatap olur.

Kişisel verilerin yurt dışına aktarılabilmesi için 6698 sayılı Kanun m. 9 kapsamında kanuni veri işleme şartlarının bulunması ve aktarımın yapılacağı ülke, sektör veya kuruluş hakkında Kişisel Verileri Koruma Kurulu tarafından verilmiş bir yeterlilik kararının bulunması esastır. Bu yeterlilik kararı Resmi Gazete vasıtasıyla ilan edilir ve en geç dört senelik periyotlarla gözden geçirilir. Kurulun yeterlilik kararı bulunmadığı durumlarda ise aktarım, kanundaki işleme şartlarının varlığı, ilgilinin hak arama yollarına erişebilmesi ve standart sözleşme gibi kanuni güvencelerin verilmesiyle mümkündür. İmzalanan standart sözleşmenin beş iş günü içinde Kişisel Verileri Koruma Kurumuna intikal ettirilmesi gerekmektedir. Güvencelerin sağlanamadığı hallerde arızi işlemler kanundaki istisnalarla yürütülebilirken milli menfaatin veya ilgili kişinin haklarının ağır zarara uğrayabileceği hallerde Kurul izni şarttır.

Kanuna Aykırı Veri İşlemenin Hukuki ve Cezai Yaptırımları

Çalışanların kişisel verilerinin kanuna aykırı yollarla işlenmesi cezai ve idari sonuçlar doğurur. 5237 sayılı Türk Ceza Kanunu m. 135/1 hükmüne göre hukuka aykırı biçimde kişisel verileri kaydeden faile bir yıldan üç yıla kadar hapis cezası uygulanır. İşlenen fiilin sendikal aidiyete, sağlık bilgilerine, cinsel hayata, felsefi, siyasi ve dini inançlara veya ırki kökenlere dair verileri konu alması halinde öngörülen ceza yarı oranında artırılmaktadır. Ayrıca 6698 sayılı Kanun gereğince aydınlatma borcunun ihmali, veri güvenliği tedbirlerinin aksatılması, Kurul kararlarının yerine getirilmemesi ve Veri Sorumluları Siciline bildirim yapılmaması fiilleri idari para cezasını gerektiren kabahatler arasında düzenlenmiştir.

Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.

Hazırlayan: Av. Erdal Ersoy